KI für Berufsgeheimnisträger - souverän, lokal, §203-konform

§203 StGB stellt die unbefugte Offenbarung fremder Geheimnisse durch Berufsgeheimnisträger unter Strafe - Mandanten-, Patienten-, Beteiligtendaten, Geschäftsgeheimnisse. „Unbefugt“ heisst: ohne Einwilligung des Geheimnisherrn und ohne gesetzliche Befugnis. Strafrahmen: bis zu einem Jahr Freiheitsstrafe oder Geldstrafe (Abs. 1), bei Handeln gegen Entgelt bis zu zwei Jahre (Abs. 5). Antragsdelikt (§205 StGB), dazu berufsrechtliche Folgen bis zum Widerruf der Zulassung.

Eingaben in ChatGPT, Copilot & Co. werden auf Servern Dritter (oft in den USA) verarbeitet. Diese Übermittlung kann bereits eine Offenbarung im Sinne des §203 StGB sein - unabhängig davon, ob der Anbieter die Daten aktiv nutzt. Eine AVV nach Art. 28 DSGVO ändert daran nichts: §203 geht über das Datenschutzrecht hinaus und verbietet die Offenbarung an Dritte zusätzlich und eigenständig. AVV ist nicht §203 - beide sind nötig.

Seit der Neuregelung darf ein IT-Dienstleister als „sonstige mitwirkende Person“ (§203 Abs. 3 S. 2 StGB) Zugang zu geschützten Informationen erhalten, OHNE dass dies ein strafbares Offenbaren ist - wenn drei Voraussetzungen erfüllt sind: (1) Erforderlichkeit für die Dienstleistung, (2) Verpflichtung in Textform mit Belehrung über die Straffolgen (§126b BGB), (3) sorgfältige Auswahl, Überwachung und unverzügliche Beendigung bei Verstoss.

Wer die mitwirkende Person NICHT verpflichtet, macht sich nach §203 Abs. 4 Nr. 1 StGB selbst strafbar. Nicht der Mitarbeiter, der Daten in ein Tool eingibt, trägt die Verantwortung - sondern der Berufsträger (Kanzlei-/Praxisinhaber). Strafbar ist nicht die Eingabe in ein abgesichertes System, sondern die unterlassene vertragliche Absicherung.

Mit der Reform wird die mitwirkende Person selbst in die Strafbarkeit nach §203 Abs. 4 S. 2 StGB einbezogen. Als Ihr verpflichteter Dienstleister haften wir mit - das ist kein Risiko für Sie, sondern Ihre Absicherung.

Zieht ein Dienstleister selbst Unterauftragnehmer hinzu (Azure, AWS, Vercel), müssen DIESE ebenfalls in Textform verpflichtet werden. Bei US-Hyperscalern ist das praktisch nicht leistbar - zusätzlich greift der US CLOUD Act, der den Zugriff durch US-Behörden ermöglicht; EU-Residency schützt davor nicht. On-Premise auf Ihrer Hardware hat keine solche Kette: die Daten verlassen Ihr Haus nicht. Unser Fernwartungs-Zugriff macht uns weiterhin zur mitwirkenden Person - deshalb verpflichten wir uns vertraglich, für Aufbau- und Wartungsphase.

Workshop, Sizing, Datenklassifizierung und §203-Vertragsrahmen. Wir verstehen Ihren Stack, Ihre Fachsoftware und Ihre Compliance-Anforderungen, bevor wir empfehlen.

On-Premise-Aufbau auf Ihrer Hardware, RAG auf Ihren Dokumenten mit Zugriffskontrolle, Integration in Ihre Fachsoftware, Geheimhaltungsverpflichtung + AVV.

Updates, Monitoring, Modell-Upgrades und RAG-Pflege als Wartungsvertrag - oder Sie betreiben vollständig selbst. Übergabe und Wissenstransfer inklusive.

Ihre Hardware, Ihre Daten

On-Premise-Aufbau bei Ihnen - kein Datenabfluss, kein CLOUD-Act-Risiko.

Open Source, kein Lock-in

Ollama, vLLM, Open WebUI, Qdrant - intern betreibbar, kein Anbieter-Zwang.

Haftung & Vertrag

§203-Geheimhaltungsverpflichtung mit Strafbelehrung + AVV + Hiscox IT-Haftpflicht.